En días recientes, el Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt) y el Programa de las Naciones Unidas para el Desarrollo (PNUD) develaron la Evaluación del Panorama de la Inteligencia Artificial (AILA, por sus siglas en inglés).
Entre los méritos del informe resaltan su novedad, como primer ejercicio de este tipo en el país, y su diversidad metodológica, en tanto combina metodologías de evaluación como la revisión documental y los talleres participativos con diversos grupos de interés. No menos importante es que el informe ordena evidencia hasta ahora dispersa y ofrece, en un lenguaje común, hallazgos y conclusiones que servirán de base para discutir el estado presente y futuro de la inteligencia artificial (IA) en Costa Rica. Por esas razones, es un punto de partida valioso y, como tal, debe reconocerse.
Sin embargo, en un ámbito tan complejo y dinámico como el despliegue de la IA, las calificaciones del país no son, naturalmente, de “cien corrido”. Una lectura atenta del informe revela algo más grave que unas “brechas de ejecución”, fórmula con la que el AILA enmarca algunas de las principales carencias normativas e institucionales que arrastra Costa Rica. Estos “espacios vacíos” producen, entre otras consecuencias, la imposibilidad de someter a control los poderes públicos y privados que operan los modelos de IA, con el evidente impacto negativo para la transparencia y la rendición de cuentas en clave democrática.
Como se sabe, el país cuenta con una Estrategia Nacional de Inteligencia Artificial (2024-2027) desde hace casi dos años, herramienta cuyo contenido es valorado positivamente por el informe porque incorpora, entre otros, principios como la dignidad humana, la equidad y la supervisión humana (human in the loop). El dilema fundamental aparece al preguntarse qué institución tiene el mandato, los recursos y la capacidad para hacer exigibles estos principios, pues el propio AILA confirma su inexistencia. La mayoría de las personas expertas encuestadas no identifica una autoridad de supervisión con capacidad real, no reconoce autorías obligatorias para sistemas de IA de alto riesgo y describe el monitoreo posterior al despliegue como débil o, en todo caso, inexistente.
Ese vacío institucional no es un detalle técnico menor o postergable, porque una estrategia sin autoridad que la ejecute se reduce, en términos prácticos, a una declaración de intenciones. ¿Loables? Seguro. ¿Suficientes? Definitivamente no. Para contextualizar este problema, el informe habla de una “gobernanza incipiente con avances concretos”, conclusión que no resiste el contraste con sus propios hallazgos, en tanto que, si ningún actor consultado puede señalar quién supervisa el desarrollo y uso de la IA, no correspondería hablar de una gobernanza incipiente y, más bien, cabría diagnosticar su ausencia.
Un segundo vacío, tan preocupante como el primero, es la falta —casi total— de mecanismos a disposición de la ciudadanía para impugnar decisiones automatizadas, vías calificadas por el AILA como “prácticamente inexistentes o muy limitados”. En palabras sencillas, esto significa que, si una persona es afectada por un modelo de IA, no cuenta, contrario a lo que manda el artículo 41 de la Constitución Política, con un cauce jurídico claro y específico para cuestionar esa decisión, exigir explicaciones o solicitar su revisión ante una autoridad humana.
En cualquier país heredero de una tradición constitucional amparada en el Estado de Derecho, tal escenario haría saltar todas las alarmas, pues, más que un diagnóstico de “brechas por cerrar” o una laguna doctrinal, se constata un déficit sustantivo y procesal que, hasta no ser resuelto correctamente, deja a las personas indefensas frente a decisiones opacas, sesgadas o simplemente erróneas.
Un nuevo factor de debilidad radica, según el AILA, en la regulación y valoración ética, hallazgo que el informe justifica en la ausencia de mecanismos sólidos para monitorear violaciones éticas, el carácter facultativo de la transparencia sobre el uso de sistemas de IA y la inexistencia de protocolos de reporte de incidentes. Costa Rica cuenta con activos regulatorios reales sobre los cuales construir, como la Ley de Protección de Datos, la Agencia de Protección de Datos de los Habitantes (Prodhab) y una estrategia de ciberseguridad vigente, como lo recuerda el propio informe.
Sin embargo, conviene no confundir la base normativa general de protección de datos con una arquitectura específica de garantías frente a la IA, pues ambos elementos son distintos y, aunque el informe los trate como gradaciones de un mismo continuo, representan una brecha cualitativa por la diferencia entre regular el tratamiento de datos personales y regular las decisiones automatizadas con efectos jurídicos sobre las personas. Ningún país ha resuelto la segunda cuestión por extensión analógica de la primera, de ahí que sea preciso contar con normativa propia, definiciones de riesgo, evaluaciones de impacto ex ante y autoridades con competencia específica en la materia.
Por último, el informe insiste en que el país “no parte de cero” y que el reto es “convertir” o “densificar” capacidades ya existentes, narrativa que, aunque cierta, opera como una forma elegante de evitar una pregunta incómoda: ¿por qué, con una estrategia nacional vigente desde 2024 y activos regulatorios previos en protección de datos, seguimos sin regulación ni autoridades fiscalizadoras de la IA, sin evaluaciones de impacto obligatorias y sin vías de impugnación frente a decisiones automatizadas? Aunque no cabe reprochárselo, pues la respuesta debe provenir de distintos frentes, el AILA no propone una salida institucional ni ofrece pistas sobre cómo vencer la inercia.
Todos estos apuntes no restan valor al informe como primer mapa de coordenadas útil, bien documentado y basado en una metodología participativa. No puede, en todo caso, sustituir la acción de quienes, por contar con la competencia para ello, deben hacerse cargo de las tareas pendientes: crear una autoridad costarricense de supervisión de la IA con competencia efectiva; convertir los principios ya escritos en obligaciones exigibles mediante evaluaciones de impacto obligatorias; y diseñar un mecanismo procesal para que quien sea afectado por una decisión automatizada pueda impugnarla.
Sin la atención prioritaria de estas acciones, el país mantendrá un vocabulario correcto y las mejores intenciones para hablar de IA responsable, pero ninguna institución será capaz de garantizarla.